Bazı sorunlar bir parola için bir tuz amacını anlamakta güçlük çekiyorum. İlk gökkuşağı tablo saldırı engellemeye anladığım kadarıyla. Ancak, bu uygulamaya gördüm yöntemleri gerçekten sorun zorlaştırmak görünmüyor.

Birçok dersler tuzu aşağıdaki gibi kullanılabilir düşündüren gördüm:

$hash =  md5($salt.$password)

Karma şimdi orijinal şifre eşleyen muhakeme olmak, ama şifre kombinasyonu ve tuz. Ama $salt=foo $password=bar say ve $hash=3858f62230ac3c915f300c664312c63f. Şimdi bir gökkuşağı tablo ile biri karma ters ve giriş ile gelebilir "". falanca Sonra şifreleri tüm kombinasyonları deneyebilirsiniz (f, fo, foo, ... oobar, obar, bar, ar, ar). Şifre, ama pek başka almak için birkaç saniye sürebilir.

Gördüğüm diğer linux sistemimde. /Etc/shadow içinde karma şifreleri aslında saklanıriletuz. Örneğin, "" "bu hash: $1$foo$te5SBM.7C25fFDu6bIRbX1. bar" ve parola foo tuz Eğer bir hacker bir şekilde bu dosya üzerinde ellerini almak mümkün olsaydı, tuzu neye hizmet ettiğini görmüyorum, te5SBM.7C25fFDu6bIRbX ters karma içerdiği bilinmektedir beri"". foo

Herhangi bir ışık herkes için teşekkürler bu konu üzerinde tutabilir.

EDİT: Yardımın için teşekkürler. Anladığım kadarıyla özetlemek gerekirse, tuz sağlaması şifre daha karmaşık, böylece çok daha önceden hesaplanan bir gökkuşağı tablo mevcut Olası hale getirir. Yanlış anlamışım ne önce bir gökkuşağı tablo TÜM sağlamalarının için var sanırım olmasıydı.

Kamu tuzdeğiltek bir şifre kırma sözlük saldırıları daha da zorlaştırır. Söylediğin gibi, saldırgan, hem de karma parola ve tuz erişebilir, sözlük saldırı çalışırken, sadece şifresini kırmaya çalışırken bilinen tuz kullanabilir.

Ortak bir tuz mu iki şey vardır: daha fazla zaman alıcı şifreleri büyük bir listesini çatlak ve olanaksız bir gökkuşağı tablo kullanmak için yapar.

İlki anlamak için, kullanıcı adı ve şifre yüzlerce içeren tek bir parola dosyası düşünün. Bir tuz olmadan, "(girişim[0]) md5" ve ardından tara eğer karma olursa görmeye dosya içinde herhangi bir yerde. tahmin edemeyeceğim Eğer tuz varsa, o zaman ben "(tuz[a] . md5 hesaplamak için var girişimi[0])", Bir giriş, sonra "(tuz[b] . md5 karşılaştırma girişimi[0])", karşılaştırın girişine karşı B, vb. Şimdi n kullanıcı adı ve şifre dosyasında sayısıdır yapacak çok işi olarak n kat var.

İkincisi anlamak için bir gökkuşağı tablo ne kadar büyük olduğunu anlaman gerek. Bir gökkuşağı tablo sık kullanılan şifreler için önceden hesaplanmış sağlamalarının büyük bir liste. Tekrar şifre tuzları olmadan dosya düşünün. Tek yapmam gereken dosyanın her satırı geçmesi, karma şifre çekin, ve gökkuşağı tabloya bak. Ben bir tek karma hesaplamak için. Look-up önemli ölçüde daha hızlı karma işlevi daha muhtemelen olan) ise, bu önemli dosya çatlamasını hızlandırır.

Ama eğer şifre dosyasını tuzlu ise, rainbow tablosu "tuz . içermesi gerekir parola" pre-karma. Eğer tuz yeterince rastgele değilse, bu çok zor bir durumdur. Muhtemelen gereken şeyler gibi "Merhaba" ve "falanca" ve "Q" listemin sık kullanılan, pre-karma şifreleri (rainbow table), ama gitmiyorum gereken şeyler gibi "jX95psDZhello" veya "LPgB0sdgxfoobar" veya "dZVUABJtqwerty" önceden hesaplanmış. Bu gökkuşağı tablo engelleyici büyük hale getirecektir.

Böylece tuzları azaltır saldırgan bir geri-hesaplama-başı-satır başı girişime, zaman ile birleştiğinde bir yeterince uzun, yeterince rastgele parola (genellikle konuşma) girilemez.